interessantes

[Nico Hoffmann]

Hier ein Fundstück, was ich interessant und zugegeben, ein bisschen
bedenklich finde.

Eigentlich ist es nur eine der üblichen Porno-Erpressungsdrohmails,
die zeitweise im Dutzenderpack rumfliegen und die jeder kennt.
Normalerweise lösche ich sowas ungelesen. Hier haber ich mal
reingeschaut.

Das besondere ist, dass der Spammer offenbar ein uraltes Password von
mir kennt, dass ich damals für mehrere Accounts ab Mitte der 90er
Jahre bis vielleicht um 2010 herum tatsächlich verwendet habe.

Ich selbst hatte meines Wissens kein Datenleck, daher gehe ich davon
aus, dass der Spammer über gehackte / geleakte Daten der diversen
Accountgeber da dran gekommen ist. M.W. kursieren solche Daten in
Hackerkreisen.

Ein schönes Beispiel dafür, möglichst wenig Accounts zu besitzen,
verschiedene Passwörter zu verwenden und gelegentlich die Passwörter
zu ändern.

Spam-Ursprung ist 45.77.66.250. Das ist offenbar ein
Wegwerf(?)clouddienst (Vultr Holdings in FFM). Beschwerde an
***@vultr.com ist raus.

N.




| Return-Path: <***@gmx.de>
| X-Original-To: ***@localhost
| Delivered-To: ***@localhost
| Received: from schubert.lewonze.de (schubert.lewonze.de [IPv6:::1])
| by schubert.localdomain (Postfix) with ESMTP id A4B94191199
| for <***@localhost>; Sun, 31 Dec 2023 09:58:24 +0100 (CET)
| X-Original-To: ***@zzzzzzz.de
| Delivered-To: ***@zzzzzzz.de
| Received: from mail.zzzzzzz.de [62.245.182.50]
| by schubert.lewonze.de with POP3 (fetchmail-6.4.27)
| for <***@localhost> (single-drop); Sun, 31 Dec 2023 09:58:24 +0100 (CET)
| Received: from localhost (localhost.localdomain [127.0.0.1])
| by mail.zzzzzzz.de (Zzzzzzz e.V. Mailserver) with ESMTP id 04793641B0
| for <***@zzzzzzz.de>; Sun, 31 Dec 2023 09:45:50 +0100 (CET)
| Received: from mx2.zzzzzzz.de ([62.245.182.53])
| by localhost (mail.zzzzzzz.de [62.245.182.50]) (amavisd-new, port 10024)
| with ESMTP id 22103-03 for <***@zzzzzzz.de>;
| Sun, 31 Dec 2023 09:45:49 +0100 (CET)
| X-Greylist: domain auto-whitelisted by SQLgrey-1.8.0
| X-policyd-weight: IN_SBL_XBL_SPAMHAUS=4.35 NOT_IN_SPAMCOP=-1.5
| NOT_IN_BL_NJABL=-1.5 CL_IP_EQ_HELO_IP=-2 (check from: .gmx. - helo:
| .mout-xforward.gmx. - helo-domain: .gmx.)
| FROM/MX_MATCHES_HELO(DOMAIN)=-2; rate: -2.65
| Received: from mout-xforward.gmx.net (mout-xforward.gmx.net [82.165.159.41])
| (using TLSv1.3 with cipher TLS_AES_256_GCM_SHA384 (256/256 bits)
| key-exchange ECDHE (P-256) server-signature RSA-PSS (4096 bits)
| server-digest SHA256)
| (No client certificate requested)
| by mx2.zzzzzzz.de (Zzzzzzz e.V. Mailserver mx2) with ESMTPS id D3D05203D1
| for <***@zzzzzzz.de>; Sun, 31 Dec 2023 09:45:49 +0100 (CET)
| Authentication-Results: gmx.net; dkim=pass header.i=***@streber24.de
| Received: from mout-xforward.gmx.net ([82.165.159.14]) by mx-ha.gmx.net
| (mxgmx106 [212.227.17.5]) with ESMTPS (Nemesis) id 1N61i4-1r92ig4AnI-00x35Y
| for <***@gmx.de>; Sun, 31 Dec 2023 09:45:47 +0100
| DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=streber24.de;
| s=s31663417; t=1704012346; x=1704617146; i=***@streber24.de;
| bh=xTQF6FA+BngrhXLgFSATcvSKuNUQ2vLmRiLJD6ayZXA=;
| h=X-UI-Sender-Class:From:Subject:To:Date;
| b=O8/xU9Rmk2yj4KknS7cfBCNbsmeKE+aqfSo2kkz+MxSSq5f0tmclxjCKkxRKqdMr
| 04O+8Me93aNqhIFq+1n5G9pO9CCLPcIrc8+c953skPlrj5GrIy89zkHpjDoznmpcJ
| qvZOwsFG4pAtqPk6tBsv7550s4UMXZeJ5mRjHaxx8PBmOy7LGtgtvvVEU8EqUm4df
| vqv7GnJ4B6J90cZO4gJ18eSwQDJNEytYwo20kO6/0nLlO/o9Id4smauJIGuESXsX4
| dcptk5xiC6/ua1X+fldW5SHksxMOnr59AN7tJUr37oDF/TX6XFchgJHNF7W3rVfyD
| 8D4zHVEV7nZtS+EVlA==
| X-UI-Sender-Class: 724b4f7f-cbec-4199-ad4e-598c01a50d3a
| Received: from gmxde3 ([45.77.66.250]) by mail.gmx.net (mrgmx004
| [212.227.17.190]) with ESMTPSA (Nemesis) id 1MK3Rs-1rfN923ED8-00LTsh for
| <***@gmx.de>; Sun, 31 Dec 2023 09:45:46 +0100
| From: "LETZTE WARNUNG" <***@streber24.de>
| Subject: keine Antwort.
| To: <***@gmx.de>
| Content-Type: multipart/alternative;
| boundary="AzrSxAilNMM7FkL4EYOL0jtsj4o=_LxjaA"
| MIME-Version: 1.0
| Date: Sun, 31 Dec 2023 08:45:46 +0000
| Message-Id: <314620231245088E4A0B834C-***@streber24.de>
| X-Provags-ID: V03:K1:YeQBslVOnRbFvKLoOLSQi61kCUhLO6+w1FOeHBisOCb3m6RjS6A
| 9LdNxPyE4cqjrs/8evjIo/MH6bGQ0GVWKHtW9EXPpZ07TJt2HbIXdi3FgQgUaSJrwrCbi9w
| c+pwl2vO/X/T309iAIzt5oAgfM2vwbRehCWpG5ObBjUZpprg31kd9asZl82SHP2BYGJBdF0
| uhCi/YKG3ml6ZzA4w976w==
| X-Spam-Flag: YES
| Envelope-To: <***@gmx.de>
| X-GMX-Antispam: 20 (nemesis spam protection); Detail=V3;
| X-Spam-Flag: YES
| UI-InboundReport: junk:10;M01:P0:LYB+/cxzSJk=;Rh83dZKgFpj[...]
| X-UI-Loop:V01:s/OCfp0/Pcc=:6g68SnoYBzdN0YVuK5Oi1P8AIcXj4/CEDAtVusUYN88=
| X-Spam-Flag: YES
| UI-OutboundReport: junk:10;M01:P0:u5b9LBSJrvw=;r8Gm8VP4Gq[...]
|
| Hallo, mein perverser Freund,
|
| Ich komme gleich zur Sache. Ihr Passwort für dieses Postfach: xxxxxxxx
|
| Wir kennen uns eigentlich schon eine Weile,

[Michael Uplawski]

Post by Nico Hoffmann
Eigentlich ist es nur eine der üblichen Porno-Erpressungsdrohmails,
die zeitweise im Dutzenderpack rumfliegen und die jeder kennt.
Normalerweise lösche ich sowas ungelesen. Hier haber ich mal
reingeschaut.

Hier in Frankreich gab es Selbstmorde nach solchen Mails. Sie scheinen – für
mich – inzwischen weniger häufig aufzutauchen. In jedem Fall finde ich es in
Ordnung, weiterhin den Aufwand der Beschwerde zu treiben.

Deine Ratschläge, Passwörter zu ändern und Accounts zu sparen, sind auch
wichtig. Es macht aber immer öfter Schwierigkeiten, beide Aspekte im
Zusammenhang zu erklären. Zumindest in meinem ... ländlich ist untertrieben.
Also hier in der französischen Provinz ist alles, was man nicht versteht,
wahrscheinlich gottgewollt (das ist heute. Morgen wird's schlimmer).
Darum ist jemand, der sagt, er sei Hacker, ein Hacker. Da kansste dann nix mehr
machen.

Ich habe versucht, in einem Vereins-Wiki die Received-Header zu erklären. Das wird als
zu technisch abgetan. Nur so. Nicht « unpraktisch », zu kompliziert oder was.
Nur « zu technisch ». Jetzt laufe ich hinterher, um zu verstehen, was noch
geht. Bis ich den Rückstand aufgeholt habe, sind die Leute schon weiter und
beten zu Google. Morgen.

Cheerio. Lasst sie leiden. Lasst sie bezahlen und so ist das nunmal.

Habt um Gottes willen einen Guten Rutsch ins neue Jahr ! ;)

[Beate Goebel]

Nico Hoffmann schrieb am 31 Dez 2023

Post by Nico Hoffmann
Das besondere ist, dass der Spammer offenbar ein uraltes Password
von mir kennt, dass ich damals für mehrere Accounts ab Mitte der
90er Jahre bis vielleicht um 2010 herum tatsächlich verwendet
habe.
Ich selbst hatte meines Wissens kein Datenleck,

Schau mal hier rein:
https://haveibeenpwned.com/

Da steht dann auch, woher das Leck kommt und wann.

Beate

[Nico Hoffmann]

Post by Beate Goebel
Nico Hoffmann schrieb am 31 Dez 2023

Post by Nico Hoffmann
Das besondere ist, dass der Spammer offenbar ein uraltes Password
von mir kennt, dass ich damals für mehrere Accounts ab Mitte der
90er Jahre bis vielleicht um 2010 herum tatsächlich verwendet
habe.
Ich selbst hatte meines Wissens kein Datenleck,

https://haveibeenpwned.com/
Da steht dann auch, woher das Leck kommt und wann.

Nett...

Das Password kursiert offenbar mindestens seit 02/2018. Leider steht
zu den Daten nur "found online" drin, aber nicht konkret aus welcher
Quelle...


Wieso die Email-Adresse angeblich auch beim "Gravatar"-Leck auftaucht,
ist mir unklar:

| Gravatar: In October 2020, a security researcher published a technique
| for scraping large volumes of data from Gravatar, the service for
| providing globally unique avatars . 167 million names, usernames and
| MD5 hashes of email addresses used to reference users' avatars were
| subsequently scraped and distributed within the hacking community. 114
| million of the MD5 hashes were cracked and distributed alongside the
| source hash, thus disclosing the original email address and
| accompanying data. Following the impacted email addresses being
| searchable in HIBP, Gravatar release an FAQ detailing the incident.

Gravatar hab' ich nie verwendet.


Ich wollte sowieso mal meine Accounts durchsehen und neue Passwörter
vergeben. Das ist jetzt eine gute Gelegenheit zum Geradeziehen und
Aufräumen :-)


N.

[Beate Goebel]

Nico Hoffmann schrieb am 31 Dez 2023

Post by Nico Hoffmann

Post by Beate Goebel
https://haveibeenpwned.com/

Wieso die Email-Adresse angeblich auch beim "Gravatar"-Leck

https://www.wp1x1.de/gravatar/
"Wie kommen eigentlich die Profilbilder neben die Kommentaren unter
Blogartikeln? Die Frage ist einfach beantwortet: Es handelt sich hier
um einen Globally Recognized Avatar ( = Gravatar)."

Post by Nico Hoffmann
Gravatar hab' ich nie verwendet.

Nicht Du verwendest Gravatar. Jemand verwendet Gravatar, bei dem Du
Dich angemeldet hast. Social media ist ein Fliegenfänger für
Daten.

Post by Nico Hoffmann
Ich wollte sowieso mal meine Accounts durchsehen und neue
Passwörter vergeben. Das ist jetzt eine gute Gelegenheit zum
Geradeziehen und Aufräumen :-)

Ja, da sieht man auch warum. ;-)

Beate

[Andreas Kohlbach]

Post by Nico Hoffmann
Hier ein Fundstück, was ich interessant und zugegeben, ein bisschen
bedenklich finde.
Eigentlich ist es nur eine der üblichen Porno-Erpressungsdrohmails,
die zeitweise im Dutzenderpack rumfliegen und die jeder kennt.
Normalerweise lösche ich sowas ungelesen. Hier haber ich mal
reingeschaut.
Das besondere ist, dass der Spammer offenbar ein uraltes Password von
mir kennt, dass ich damals für mehrere Accounts ab Mitte der 90er
Jahre bis vielleicht um 2010 herum tatsächlich verwendet habe.

Mit echtem Passwort? Wow. Weil man könnte es nun ja ändern, falls der
Scammer es noch nicht tat.

Meine Spams in dieser Richtung geben nur vor, Pornos gesehen zu haben
(was mag stimmen ;-), und mich mit meiner Kamera aufgenommen zu haben
(ich habe keine Kamera am Desktop hier).

Es wird nur eine Bitcoin Adresse angegeben. Diese veröffentliche ich auf
einer meiner Seiten, wo auch der Hinweis steht, dass man die Erpressung
ignorieren sollte, weil man nichts zu befürchten haben solle.